Wat is Cloud Security Posture Management (CSPM)

Cloud Security Posture Management (CSPM) is een kernfunctie van Microsoft Defender voor Cloud. CSPM biedt continu inzicht in de beveiligingsstatus van uw cloudassets en workloads, en biedt praktische richtlijnen om uw beveiligingspositie in Azure, AWS en GCP te verbeteren.

Defender voor Cloud beoordeelt uw cloudinfrastructuur continu aan de hand van beveiligingsnormen die zijn gedefinieerd voor uw Azure-abonnementen, Amazon Web Services (AWS)-accounts en Google Cloud Platform (GCP)-projecten. Defender voor Cloud geeft beveiligingsaanbevelingen om u te helpen bij het identificeren en verminderen van misconfiguraties in de cloud en beveiligingsrisico's.

Voor de flexibele server Azure Database for PostgreSQL evalueert Defender CSPM continu server- en databaseconfiguraties aan de hand van PostgreSQL-beveiligingsbest practices. De beoordelingen identificeren problemen met netwerkbeveiliging, auditing en operationele veerkracht. Als Defender CSPM al is ingeschakeld, geven de beoordelingen risico-geprioriteerde aanbevelingen zonder dat er een andere configuratie nodig is.

Wanneer Foundational CSPM is ingeschakeld, geeft de Microsoft Cloud Security Benchmark (MCSB)-standaard aanbevelingen om je multicloudomgeving te beveiligen. De beveiligingsscore op basis van enkele van de MCSB-aanbevelingen helpt u bij het bewaken van cloudcompatibiliteit. Een hogere score geeft een lager geïdentificeerd risiconiveau aan.

CSPM-plannen

Defender voor Cloud biedt twee CSPM-abonnementen:

  • Foundational CSPM (gratis): Gratis beschikbaar.
  • Defender CSPM (betaald): Biedt extra mogelijkheden buiten het Foundational CSPM-plan, waaronder geavanceerde CSPM-tools voor cloudzichtbaarheid en compliancemonitoring. Dit plan biedt geavanceerde beveiligingsfuncties zoals AI-beveiligingshouding, analyse van aanvalspaden en risico-prioritering.

Beschikbaarheid van het plan

Defender CSPM ondersteunt meerdere implementatiemodellen en cloudomgevingen:

  • Commerciële clouds: Beschikbaar in alle commerciële Azure-regio's.
  • Government clouds: Beschikbaar in Azure Government en Azure Government Secret.
  • Multi-cloud: Ondersteuning voor Azure-, AWS- en GCP-omgevingen.
  • Hybride: On-premises resources die via Azure Arc verbonden zijn.
  • DevOps: GitHub, Azure DevOps en GitLab-integratie.
  • Externe registers: Docker Hub- en JFrog Artifactory-connectoren ondersteunen geselecteerde Foundational CSPM- en Defender CSPM-mogelijkheden. Defender for Containers ondersteunt ook geselecteerde containerimage-mogelijkheden. Raadpleeg voor planspecifieke beschikbaarheid mogelijkheden van externe registers en toegangspatronen voor Defender for Containers-functies.

Zie de ondersteuningsmatrix voor cloudomgevingen voor specifieke regionale beschikbaarheid en cloudondersteuning voor de overheid.

Abonnementsprijzen

De facturering voor Defender CSPM is gebaseerd op specifieke resources die zijn ingeschakeld in je abonnementen of connectoren.

  • Zie Prijzen van Defender voor Cloud en gebruik de kostencalculator om de kosten te schatten.
  • Geavanceerde DevOps security posture-functies (pull request-annotaties, code-naar-cloud mapping, aanvalspadanalyse en security explorer) vereisen het betaalde Defender CSPM-plan. Het gratis abonnement biedt eenvoudige Azure DevOps-aanbevelingen. Voor details, zie DevOps beveiligingsfuncties.
  • De tabellen met factureerbare Azure- en AWS-resources in dit artikel bevatten de gedekte resourcetypen, de vereisten voor activering en de datums waarop de facturering van kracht wordt voor Serverless-beveiliging en Serverless-containers.

Azure-beheer van de cloudbeveiligingsstatus

Defender CSPM biedt Cloud Security Posture Management voor Azure-infrastructuur, rekenwerk, data en applicatieworkloads. Leer hoe je Defender CSPM inschakelt op je Azure-abonnement.

Factureerbare Azure-resources

Defender CSPM beschermt alle Azure-workloads, maar facturering geldt alleen voor specifieke resources die in de volgende tabel zijn vermeld:

Dienst Resourcetypen Uitsluitingen
Compute Virtuele machines, Virtual Machine-schaalsets, klassieke virtuele machines Gedealloceerde VM's, Databricks-VM's
Storage Opslagrekeningen Accounts zonder BLOB-containers of bestandsshares
Databases SQL-servers, Azure Database for PostgreSQL flexibele servers, Azure Database for MySQL flexibele servers, Synapse-werkruimten -
Serverloze bescherming 1 Functionele apps, Web Apps -
Serverless containers 2 Azure Container Apps (ACA), Azure Container Instances (ACI) -

1 Om Function Apps en Web Apps te beschermen en te beginnen met factureren voor deze functionaliteit, schakel Serverless Protection in Defender CSPM. De facturering werd van kracht op 1 april 2026.

2 Om Azure Container Apps en Azure Container Instances te beschermen en te beginnen met factureren voor deze functionaliteit, schakel de Serverless Containers-component in Defender CSPM in. Schakel Register-toegang in voor volledige Serverless Containers-dekking. De facturering werd van kracht op 1 juli 2026.

Azure-functies en mogelijkheden

De volgende tabel vat de Azure-functies samen die beschikbaar zijn in Foundational CSPM en Defender CSPM:

Feature Fundamentele CSPM Defender CSPM
Inventaris van activa
Gegevens exporteren
Gegevensvisualisatie en -rapportage met Azure Workbooks
Microsoft Cloud Security Benchmark
Beveiligingsscore
Aanbevelingen voor beveiliging
Hulpprogramma's voor herstel
Werkstroomautomatisering
Evaluatie van beveiligingsproblemen in code-naar-cloudcontainers zonder agent -
Detectie zonder agent voor Kubernetes -
Scannen van VM-geheimen zonder agent -
Scannen van beveiligingsproblemen zonder agent -
Beheer van AI-beveiligingsstatus -
Beheer van API-beveiligingspostuur -
Analyse van aanvalspad -
Azure Kubernetes Service-beveiligingsdashboard (voorbeeldweergave) -
Bescherming van kritieke assets -
Aangepaste aanbevelingen -
Beheer van gegevensbeveiligingspostuur (DSPM), scannen van gevoelige gegevens -
Zichtbaarheid en beveiligingsstatus voor serverless-containerworkloads -
Governance om herstel op schaal te stimuleren -
Analyse van internetblootstelling -
Beheer van kwetsbaarheid voor externe aanvallen -
Evaluaties van naleving van regelgeving -
Opsporing van risico's met beveiligingsverkenner -
Prioriteitstelling van risico's -
Serverloze beveiliging -

AWS-beheer van de beveiligingsstatus van de cloud

Defender CSPM maakt verbinding met Amazon Web Services (AWS)-accounts om Cloud Security Posture Management, beveiligingsbeoordelingen, kwetsbaarheidsscanning en risicocontext voor AWS-bronnen te bieden. Leer hoe je je AWS-accounts verbindt met Defender voor Cloud en bekijk de AWS-vereisten.

AWS factureerbare middelen

De volgende tabel geeft een overzicht van declarabele middelen en uitsluitingen wanneer u Defender CSPM inschakelt op AWS-connectors:

Dienst Resourcetypen Uitsluitingen
Compute EC2-exemplaren Gedealloceerde virtuele machines
Storage S3-buckets –
Databases RDS-instanties –
Serverloze bescherming 3 AWS Lambda-functies –
Serverless containers 4 Amazon ECS op AWS Fargate –

3 Om AWS Lambda-functies te beschermen en te beginnen met factureren voor deze functionaliteit, schakel Serverless Protection in Defender CSPM in. De facturering werd van kracht op 1 april 2026. Een factureerbare bron vertegenwoordigt acht AWS Lambda-functies.

4 Om Amazon ECS te beschermen op AWS Fargate-workloads en te beginnen met factureren voor deze functionaliteit, schakel de Serverless Containers-component in Defender CSPM in. Schakel Register-toegang in voor volledige Serverless Containers-dekking. De facturering werd van kracht op 1 juli 2026. Een factureerbare resource staat voor twee Amazon ECS-workloads op AWS Fargate.

AWS-functies en mogelijkheden

De volgende tabel vat de AWS-mogelijkheden samen die beschikbaar zijn in Foundational CSPM en Defender CSPM:

Feature Fundamentele CSPM Defender CSPM
Inventaris van activa
Gegevens exporteren
Gegevensvisualisatie en -rapportage met Azure Workbooks
Microsoft Cloud Security Benchmark
Beveiligingsscore
Aanbevelingen voor beveiliging
Hulpprogramma's voor herstel
Werkstroomautomatisering
Evaluatie van beveiligingsproblemen in code-naar-cloudcontainers zonder agent -
Detectie zonder agent voor Kubernetes -
Scannen van VM-geheimen zonder agent -
Scannen van beveiligingsproblemen zonder agent -
Beheer van AI-beveiligingsstatus -
Analyse van aanvalspad -
AWS CloudTrail-opname (voorbeeld) -
Bescherming van kritieke assets -
Aangepaste aanbevelingen -
Beheer van gegevensbeveiligingspostuur (DSPM), scannen van gevoelige gegevens -
Zichtbaarheid en beveiligingsstatus voor serverless-containerworkloads -
Governance om herstel op schaal te stimuleren -
Analyse van internetblootstelling -
Beheer van kwetsbaarheid voor externe aanvallen -
Evaluaties van naleving van regelgeving -
Opsporing van risico's met beveiligingsverkenner -
Prioriteitstelling van risico's -
Serverloze beveiliging -

GCP Cloud Security Posture Management

Defender CSPM maakt verbinding met Google Cloud Platform (GCP)-projecten om Cloud Security Posture Management en kwetsbaarheidsbeoordeling te bieden voor GCP-omgevingen. Leer hoe je je GCP-projecten verbindt met Defender voor Cloud en bekijk GCP-vereisten.

GCP factureerbare middelen

De volgende tabel geeft een overzicht van declarabele middelen en uitsluitingen wanneer je Defender CSPM inschakelt op GCP-projecten:

Dienst Resourcetypen Uitsluitingen
Compute Rekeninstanties, exemplaargroepen Niet-uitgevoerde exemplaren
Storage Opslagemmers Nearline-/coldline-/archiefklassen, niet-ondersteunde regio's
Databases Cloud SQL-exemplaren –

GCP-functies en mogelijkheden

De volgende tabel geeft een samenvatting van GCP-mogelijkheden die beschikbaar zijn in Foundational CSPM en Defender CSPM:

Feature Fundamentele CSPM Defender CSPM
Inventaris van activa
Gegevens exporteren
Gegevensvisualisatie en -rapportage met Azure Workbooks
Microsoft Cloud Security Benchmark
Beveiligingsscore
Aanbevelingen voor beveiliging
Hulpprogramma's voor herstel
Werkstroomautomatisering
Evaluatie van beveiligingsproblemen in code-naar-cloudcontainers zonder agent -
Detectie zonder agent voor Kubernetes -
Scannen van VM-geheimen zonder agent -
Scannen van beveiligingsproblemen zonder agent -
Beheer van AI-beveiligingsstatus -
Analyse van aanvalspad -
Bescherming van kritieke assets -
Aangepaste aanbevelingen -
Beheer van gegevensbeveiligingspostuur (DSPM), scannen van gevoelige gegevens - 5
Beheer van kwetsbaarheid voor externe aanvallen -
Governance om herstel op schaal te stimuleren -
Analyse van internetblootstelling -
Evaluaties van naleving van regelgeving -
Opsporing van risico's met beveiligingsverkenner -
Prioriteitstelling van risico's -

5 GCP gevoelige gegevensontdekking ondersteunt alleen Cloud Storage.

Azure Arc-cloudbeveiligingspostuurbeheer

Defender voor Cloud breidt Cloud Security Posture Management uit naar on-premises en hybride bronnen die via Azure Arc zijn verbonden. Leer hoe je on-premises machines verbindt met Azure Arc en bekijk de vereisten voor hybride onboarding. Gebruik Foundational CSPM om Arc-enabled resources in asset inventory te bekijken, hun beveiligingsconfiguratie te beoordelen en beveiligingsaanbevelingen en secure score te beoordelen.

De volgende Fundamentele CSPM-mogelijkheden ondersteunen Arc-ondersteunde bronnen:

Feature Fundamentele CSPM Defender CSPM
Inventaris van activa
Gegevens exporteren
Gegevensvisualisatie en -rapportage met Azure Workbooks
Beveiligingsscore
Aanbevelingen voor beveiliging
Hulpprogramma's voor herstel
Werkstroomautomatisering
Kwetsbaarheidsbeoordeling van containerregisters voor Arc-verbonden clusters -

Kwetsbaarheidsbeoordeling van het containerregister vereist toegang tot het register en is ook beschikbaar via Defender for Containers.

Defender CSPM voegt geavanceerde posture management-mogelijkheden toe voor ondersteunde Arc-compatibele resources. De beschikbaarheid hangt af van het type resource en de aangesloten omgeving. Voor ondersteunde Arc-scenario's en cloudbeschikbaarheid, zie de ondersteuningsmatrix voor cloudomgevingen.

DevOps Cloud-beveiligingsstatusbeheer

DevOps Cloud Security Posture Management-mogelijkheden bieden code-naar-cloud contextualisatie, pull request-annotaties, risicozoeking door security explorers en analyse van aanvalspaden voor DevOps-omgevingen.

Voor functionaliteitsbeschikbaarheid, vereisten, de volledige featurematrix en toestemmingsvereisten, zie Support en vereisten voor DevOps-beveiliging. Je kunt ook direct naar Azure DevOps of externe registervereisten gaan.

Integraties en externe positie

Defender voor Cloud integreert met partnersystemen en externe beveiligingsplatforms voor een uniforme beveiligingspositie en incidentrespons.

Azure-cloudondersteuning

Zie de ondersteuningsmatrix voor azure-cloudomgevingen voor commerciële en nationale clouddekking.

Volgende stappen 

  • Laatst bijgewerkt om